Dekoder JWT — dekoduj token sieciowy JSON online

Wklej zakodowany JWT (długi ciąg eyJ…) do pola wejściowego. Narzędzie dzieli go na dwóch kropkach, dekoduje nagłówek i ładunek z Base64URL i pokazuje JSON dla każdego z nich oraz surowy segment podpisu – wszystko bez wykonywania jakiegokolwiek żądania sieciowego.

Only if you give it the key. Decoding the header and payload needs no key, but the Verify signature field accepts an HMAC secret (HS256, HS384, HS512) or an RSA or EC public key as PEM or JWK, and reports whether the signature is valid; the check runs in your browser. Tokens signed with none or an unsupported algorithm are never reported as valid. Use a server-side JWT library for production verification; this tool is for inspection and debugging.

You get the header (algorithm and key id), the payload claims (sub, iss, aud, iat, exp and any custom claims) and the raw signature. The exp claim gets an expiry banner so you can spot stale tokens at a glance; iat and nbf are shown as the raw numbers.

Jeśli ładunek zawiera standardowe pole „exp", narzędzie porównuje je z bieżącym czasem i wyświetla „Ważny do" lub „Token wygasł o" wraz z dokładnym znacznikiem czasu. Tokeny bez pola exp są oznaczane jako nieposiadające daty wygaśnięcia.

Każdy, kto odczyta ładunek tokena JWT, może z niego korzystać aż do jego wygaśnięcia, dlatego tokeny produkcyjne należą do narzędzi prywatnych. Ten dekoder działa w całości w Twojej przeglądarce i nigdy nie przesyła tokena, jednak bezpieczniejszą zasadą jest dekodowanie krótkotrwałych tokenów deweloperskich, kiedy tylko to możliwe.

JWT składa się z trzech segmentów zakodowanych w Base64URL i oddzielonych kropkami: nagłówka (algorytm podpisu), ładunku (oświadczenia, którym wystawca chce, by zaufał weryfikujący) oraz podpisu (kod MAC lub podpis cyfrowy dla header.payload). Dekodowanie nigdy nie wymaga klucza — wymaga go jedynie weryfikacja.

Kompaktowy, bezpieczny dla adresów URL token złożony z trzech segmentów Base64URL — nagłówka, ładunku i podpisu — który przenosi podpisane dane, takie jak identyfikator użytkownika i czas wygaśnięcia. Jest powszechnie używany do bezstanowych sesji logowania i zabezpieczania żądań API. Wklej token powyżej, aby sprawdzić jego nagłówek i ładunek.

Pod zdekodowanym nagłówkiem i danymi (payload) wklej sekret podpisujący (dla HS256) lub klucz publiczny wystawcy w formacie PEM lub JWK (dla RS256, ES256 i podobnych) w pole Zweryfikuj podpis, a następnie kliknij Zweryfikuj. Pojawiająca się plakietka informuje, czy podpis jest prawidłowy, nieprawidłowy, czy używa algorytmu nieobsługiwanego przez weryfikator działający w przeglądarce — wszystko obliczane lokalnie, bez wysyłania tokenu ani klucza gdziekolwiek.

W przypadku algorytmów HMAC, takich jak HS256, wklejasz surowy ciąg współdzielonego sekretu. W przypadku algorytmów asymetrycznych, takich jak RS256, RS384 lub ES256, potrzebujesz klucza publicznego wydawcy — nigdy klucza prywatnego — podanego jako blok PEM lub JWK; wklejenie niewłaściwej połowy asymetrycznej pary kluczy spowoduje niepowodzenie weryfikacji, mimo że token jest prawidłowy.

Panel weryfikacji podpisu obsługuje każdy główny algorytm JOSE: HS256/384/512 (HMAC ze wspólnym sekretem), RS256/384/512 (RSASSA-PKCS1-v1_5 z kluczem publicznym RSA), PS256/384/512 (RSA-PSS z kluczem publicznym RSA) oraz ES256/384/512 (ECDSA na odpowiedniej krzywej P-256/P-384/P-521). Tokeny podpisane algorytmem „none” lub dowolnym spoza tej listy są zawsze zgłaszane jako nieobsługiwane, a nie oznaczane jako prawidłowe, co chroni Cię również przed klasycznym trikiem fałszerstwa alg=none.

Najczęstszą przyczyną jest wklejenie dodatkowego białego znaku lub końcowego znaku nowej linii do pola sekretu — weryfikator haszuje dokładnie te bajty, które wprowadzisz, więc artefakt kopiowania-wklejania psuje dopasowanie. Sprawdź też dokładnie, czy weryfikujesz bieżący token: jeśli JWT został ponownie wystawiony po tym, jak go skopiowałeś, lub sekret dostawcy jest zakodowany w base64, a nie jest surowym ciągiem, najpierw go zdekoduj, zanim go wkleisz.

Kliknij Wypróbuj przykładowy JWT, aby wczytać demonstracyjny token HS256 z oświadczeniami sub, name, iat i exp, dzięki czemu zobaczysz działanie dekodowania i sprawdzania wygaśnięcia przed wklejeniem własnego tokena. Gdy token znajdzie się w polu, obok niego pojawi się przycisk Wyczyść, który czyści wejście do pustego stanu jednym kliknięciem.

Każdy z paneli Nagłówek, Ładunek i Podpis ma własny przycisk Kopiuj w prawym górnym rogu, który kopiuje do schowka tylko JSON danej sekcji (lub surowy ciąg podpisu). Poniżej paneli znajduje się także główny przycisk Kopiuj ładunek dla najczęstszego przypadku, gdy chcesz skopiować same oświadczenia, aby wkleić je do debugera lub zgłoszenia błędu.

Skopiuj wartość znajdującą się po 'Bearer ' w nagłówku Authorization — fragment zaczynający się od eyJ… to sam token JWT — i wklej ją do dekodera, aby od razu zobaczyć nagłówek, dane w payloadzie i status ważności. Jeśli skopiujesz cały ciąg 'Bearer eyJ…', najpierw usuń przedrostek 'Bearer ', tak aby token składał się dokładnie z trzech części oddzielonych kropkami.

Nie — to dekoder i podgląd, a nie edytor JWT. Zmiana danych ładunku unieważniłaby podpis, więc każdy serwer weryfikujący token odrzuciłby zmodyfikowaną wersję. Aby zmienić dane zawarte w tokenie, musisz wygenerować nowy token podpisany właściwym sekretem lub kluczem prywatnym. Dekoder służy do odczytu i debugowania tokenów, nie do ich modyfikowania.

Nie — JWT Decoder działa całkowicie w przeglądarce, więc to, co wkleisz, nigdy nie opuszcza komputera, na którym się znajdujesz. Ma to znaczenie, jeśli sprawdzasz coś, co zawiera token, klucz lub dane klienta. Aby ją wyczyścić, wystarczy zamknąć zakładkę.

Błąd wskazuje na pierwszą pozycję, której nie można przeanalizować, co zwykle następuje tuż po prawdziwym błędzie, a nie na nim — brakujący przecinek, niezamknięty cudzysłów lub nawias albo inteligentny cytat wklejony z dokumentu zamiast prostego. Najpierw sprawdź linię nad zgłoszoną pozycją.

JWT Decoder shows its result on the page. Standard use does not require signup; this workflow does not offer a file download. Published processing allowances and file limits still apply.

Nie — JWT Decoder działa w przeglądarce na komputerze stacjonarnym i telefonie. Nie trzeba nic instalować, nie trzeba rozpoczynać okresu próbnego ani kupować licencji, zanim zobaczysz, czy spełnia Twoje potrzeby. Wypróbuj na pliku, w którym faktycznie utknąłeś, a nie na próbce.